Bewährung für den Morris-Wurm

Morris war 1988 Student an der Cornell University in Ithaca, New York, als er die mangelhafte Sicherheit von Computernetzwerken unter Beweis stellen wollte. Eigentlich hatte er geplant, keinen Schaden anzurichten, sondern sein Programm lediglich möglichst weit zu verbreiten.Die Gerichtsunterlagen des Bundesberufungsgerichts der Vereinigten Staaten von Amerika aus dem Jahr 1991 belegen, dass dieser Plan mächtig in die Hose ging.

Robert Tappan Morris, Jahrgang 1965, war 23 Jahre alt, als er dem Gericht zufolge den ersten bedeutenden Computerwurm erschuf. Der Doktorand der Computerwissenschaften hatte seinen Bachelor in Harvard gemacht und dort umfangreiches Wissen über Computer erlangt. Das Interesse war ihm wohl schon in die Wiege gelegt worden, sein Vater war Chefwissenschaftler beim NSA-eigenen National Computer Security Center und arbeitete an Sicherheitsstandards in Computernetzwerken. Ob Robert Tappan Morris das umfangreiche Wissen seines Vaters ausnutzte, um den ungeahnt hoch infektiösen Wurm zu programmieren, ist nicht bekannt.

Ungewohnt im Umgang mit digitaler Kriminalität

Wohl aber, dass Morris schon kurz nach seiner Aufnahme an der Cornell University die Idee gehabt haben muss, Netzwerksicherheiten auszutesten. “Morris beteiligte sich in verschiedenen Diskussionen mit Kommilitonen über die Sicherheit von Computernetzwerken und seine Fähigkeit, in diese einzudringen”, heißt es unter “Fakten” in der Begründung des Berufungsgerichts, die dreijährige, zur Bewährung ausgesetzte Haftstrafe, eine Geldstrafe in Höhe von 10.050 US-Dollar und die Auflage von 400 Stunden gemeinnütziger Arbeit zu bestätigen.

Wie ungewohnt der Umgang mit digitaler Kriminalität für Gerichte zu Anfang der 1990er Jahre war, belegt die Sprache, mit der über den Fall geschrieben wurde. Morris habe, so steht es in den Gerichtsdokumenten, das Programm so designt, dass es sich möglichst weit in einem nationalen Netzwerk von Computern verbreiten würde, nachdem er es in einem Computer freigesetzt habe, der mit dem Netzwerk verbunden war. Der englische Wortlaut der nächsten Sätze liest sich nach heutigen Maßstäben etwas befremdlich, ist dabei allerdings eine gute Beschreibung des frühen Internets:

“Morris released the worm into INTERNET, which is a group of national networks that connect university, governmental, and military computers around the country. The network permits communication and transfer of information between computers on the network.”

Verhängnisvoller Fehler führt zum Genickbruch

Das Gericht war sich durchaus der Tatsache bewusst, dass Morris keinen Schaden hatte anrichten wollen. Aber Unwissenheit schützt bekanntlich nicht vor Strafe. Das Berufungsgericht schreibt: “Morris hatte versucht, den Internetwurm so zu programmieren, dass er sich weit verbreiten aber keine Aufmerksamkeit auf sich ziehen würde.” Dabei unterlief ihm ein verhängnisvoller Fehler. Damit der Wurm sich nur ein einziges Mal auf demselben Computer einnisten würde, habe Morris dem Wurm die Fähigkeit zugeschrieben, einen Computer zu fragen, ob die Software auf ihm schon installiert sei. Antwortete dieser negativ, fühlte sich das Programm heimisch, antwortete er positiv, so sollte es zu keiner weiteren Installation kommen.

Als Sicherheitsnetz gegen Abwehrmechanismen, die fälschlicherweise mit “Ja” antworten würden, entschied Morris, dass bei jedem siebten “Ja” trotzdem eine Kopie abgelegt werden sollte. Statt nur als Backup erwies sich diese Funktion als Genickbrecher für viele Computer, denn die Frage wurde häufiger als geplant an die Computer gestellt. Massenhaft kopierte sich die Datei auf die immer gleichen Geräte, sie überlasteten und wurden oft funktionsunfähig.

Systemwiederherstellungspunkte, an die einfach zurückgekehrt werden konnte, waren Ende der 1980er Jahre nicht bekannt. Um die Geräte wieder funktionstüchtig zu machen, mussten große Geldmengen in die Hand genommen werden. “Die geschätzten Kosten, die nötig waren, um mit dem Wurm fertig zu werden, betrugen pro Installation zwischen 200 und mehr als 53.000 US-Dollar”, heißt es in den Gerichtsdokumenten. Am 22. Januar 1990 sprach ihn ein Amtsgericht schuldig, zwei Jahre zuvor den ersten großen Computerwurm freigesetzt zu haben. Morris war der Erste, der nach dem Computer Fraud and Abuse Act verurteilt wurde.

Dass er mit der Entwicklung des berühmten ersten Wurms, der mittlerweile als “Morris Wurm” bekannt ist, etwas tat, was nicht rechtens ist, lässt sich an der Tatsache ablesen, dass er nicht einfach die eigenen Geräte an der Cornell University für die Freisetzung des Programms nutzte. Stattdessen begab Morris sich zum Massachussets Institute of Technology in Boston und ließ sein Produkt am 2. November 1988 auf das Internet los. Bis zu zehn Prozent der damals rund 60.000 mit dem Internet verbundenen Computer sollen den Wurm in ihrem System gehabt haben. Die Infrastruktur des MIT hatte Morris genutzt, um seine Aktivitäten zu verschleiern.

Erfreut können die dort Verantwortlichen darüber nicht gewesen sein. Das war allerdings kein Grund, ihn nicht 1999 in den Mitarbeiterstab aufzunehmen. In einer MIT-Mitteilung von 2006 heißt es: “Morris trägt fundamental zu Entwicklungen im Bereich der Computer- und Drahtlosnetzwerke und der Betriebssysteme bei.”